Cisco tropieza de nuevo con una contraseña por defecto

Ha vuelto a pasar. Cisco ha anunciado que la plataforma de software Cisco Unified Communications Domain Manager contiene una contraseña estática por defecto.

Cisco Unified Communications Domain Manager (Cisco Unified CDM) es una plataforma de distribución de servicios y gestión que proporciona funciones de automatización y administración sobre Cisco Unified Communications Manager, Cisco Unity Connection y aplicaciones Cisco Jabber, así como sobre los teléfonos asociados y clientes de software.

Se dice que el hombre es el único animal que tropieza dos veces con la misma piedra. Las contraseñas por defecto es la piedra con la que Cisco tropieza una y otra vez. Hace apenas una semana anunciábamos que los dispositivos Cisco Web Security Virtual Appliance (WSAv), Email Security Virtual Appliance (ESAv) y Security Management Virtual Appliance (SMAv) incluían claves SSH por defecto.

En esta ocasión, Cisco Unified Communications Domain Manager se ha encontrado de nuevo con esa dichosa piedra (en forma de contraseña estática), que podría permitir a un atacante remoto autenticarse como root (mediante SSH) y tomar el control de los sistemas afectados. La cuenta afectada se crea durante la instalación y no se puede cambiar ni eliminar sin impactar a la funcionalidad del sistema. Para distinguir a esta piedra de entre otras del camino ha quedado identificada con el CVE-2015-4196.

Y como ya comentamos, productos como Cisco TelePresence Recording Server, Cisco NetFlow Collection Engine o Cisco Wireless Location Appliances también incluyeron cuentas administrativas con contraseñas por defecto. Solo queda por pensar, qué más productos de Cisco incluyen alguna contraseña por defecto.

Cisco ha publicado actualizaciones gratuitas para corregir esta vulnerabilidad, que queda solucionada en Cisco Unified Communications Domain Manager Platform Software Releases 4.4.5 disponible desde

http://www.cisco.com/cisco/software/navigator.html.

Más información:

Cisco Unified Communications Domain Manager Default Static Privileged Account Credentials

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150701-cucdm

una-al-dia (26/06/2015) Claves SSH por defecto en dispositivos Cisco

http://unaaldia.hispasec.com/2015/06/claves-ssh-por-defecto-en-dispositivos.html

una-al-dia (31/07/2011) Contraseña por defecto en Cisco TelePresence Recording Server

http://unaaldia.hispasec.com/2011/07/contrasena-por-defecto-en-cisco.html

una-al-dia (13/10/2006) Contraseña por defecto en Cisco Wireless Location Appliances

http://unaaldia.hispasec.com/2006/10/contrasena-por-defecto-en-cisco.html

una-al-dia (26/04/2007) Credenciales por defecto en Cisco NetFlow Collection Engine

http://unaaldia.hispasec.com/2007/04/grupo-de-parches-de-abril-para-diversos.html